Windows Server 2012 R2 环境下 IIS 8.5 的 SSL 证书安装与配置全攻略-洪萨配资

1. 准备工作：获取SSL证书前的注意事项

在开始安装SSL证书之前，我们需要先准备好必要的材料。SSL证书通常由受信任的证书颁发机构（CA）签发，比如DigiCert、GeoTrust等。你可以直接从这些机构购买，或者通过云服务商（如阿里云、腾讯云）申请免费证书。

我建议选择商业证书，因为它们通常提供更完善的技术支持和更高的信任级别。不过如果你只是测试环境使用，免费的Let's Encrypt证书也是个不错的选择。实测下来，Let's Encrypt的证书在主流浏览器中都能被正常识别，而且每90天自动续期的机制也很方便。

获取证书时需要注意几个关键点：

确保证书类型与你的服务器匹配（IIS需要PFX格式）
记录好证书密码（在导入时会用到）
如果是从其他格式转换而来，要保留完整的证书链

2. 证书格式转换：处理不同来源的证书文件

很多情况下，我们拿到的证书可能不是IIS直接支持的格式。比如从Linux服务器迁移过来的证书通常是PEM格式，这就需要我们进行转换。这里我分享两种最常用的转换方法：

2.1 使用OpenSSL工具转换

如果你习惯命令行操作，OpenSSL是最强大的工具。假设你有一个cert.pem证书文件和key.pem私钥文件，可以这样转换：

openssl pkcs12 -export -out certificate.pfx -inkey key.pem -in cert.pem -certfile chain.pem

这个命令会生成一个包含私钥和完整证书链的PFX文件。执行时会提示你设置密码，这个密码在后续导入IIS时会用到，一定要记住。

2.2 使用在线转换工具

对于不熟悉命令行的用户，可以使用SSL Shopper提供的免费在线工具。访问他们的证书转换页面，上传你的证书文件，选择输出格式为PFX，然后下载转换后的文件即可。不过要注意，这种方式需要将私钥上传到第三方网站，安全性稍差，建议仅在测试环境使用。

3. 在IIS 8.5中安装SSL证书

现在进入核心环节 - 在Windows Server 2012 R2的IIS 8.5中安装证书。我分步骤详细说明：

3.1 打开IIS管理器

有三种方式可以打开IIS管理器：

按Win+R，输入"inetmgr"回车
通过服务器管理器 > 工具 > Internet Information Services (IIS) 管理器
在开始菜单中直接搜索"IIS"

建议使用第一种方法，最快捷。打开后你会看到左侧的连接面板，这里列出了服务器和站点结构。

3.2 导入证书到服务器

在连接面板中选择服务器名称（通常是你的计算机名），然后双击中间的"服务器证书"图标。在右侧操作面板点击"导入"，会弹出导入对话框。

这里有几个关键点需要注意：

选择你准备好的PFX文件
输入转换时设置的密码
勾选"允许导出此证书"（方便后续迁移）
证书存储选择"个人"

我曾经遇到过导入失败的情况，大多数是因为密码错误或者证书文件损坏。如果遇到问题，建议重新转换证书再试。

3.3 为网站绑定证书

证书导入成功后，就该把它绑定到网站上了。在连接面板中展开"站点"，选择你要配置的网站，右侧点击"绑定"。在弹出的窗口中点击"添加"，设置以下参数：

参数	值	说明
类型	https	必须选择HTTPS
IP地址	全部未分配	或指定服务器的IP
端口	443	HTTPS默认端口
主机名	你的域名	如www.example.com
SSL证书	选择刚导入的证书	通过友好名称识别

这里有个小技巧：如果你有多个网站使用同一个IP，需要启用"需要服务器名称指示(SNI)"，这样IIS才能根据域名区分不同的证书。

4. 验证SSL安装是否成功

安装完成后，我们需要验证证书是否正常工作。最简单的方法就是通过浏览器访问你的HTTPS网站。如果地址栏显示锁形图标，点击后能看到证书信息，说明安装成功。

如果遇到问题，可以尝试以下排查步骤：

检查443端口是否开放（防火墙设置）
确认证书是否已正确绑定到网站
查看证书链是否完整（使用SSL Labs的测试工具）
重启IIS服务（有时候需要完全重启才能生效）

我遇到过证书安装后浏览器仍然提示不安全的情况，后来发现是中间证书缺失。解决方法是将中间证书也导入到"中级证书颁发机构"存储中。

5. 高级配置与优化建议

基本的SSL安装完成后，还可以进行一些优化配置来提升安全性和性能：

5.1 强制HTTPS跳转

为了确保用户始终使用安全连接，我们应该配置HTTP到HTTPS的自动跳转。在IIS中可以通过URL重写模块实现：

安装URL重写模块（如果没有的话）
在网站根目录下创建或编辑web.config文件
添加以下规则：

<rule name="HTTP to HTTPS redirect" stopProcessing="true"> <match url="(.*)" /> <conditions> <add input="{HTTPS}" pattern="off" ignoreCase="true" /> </conditions> <action type="Redirect" url="https://{HTTP_HOST}/{R:1}" redirectType="Permanent" /> </rule>

5.2 配置HSTS

HTTP严格传输安全(HSTS)可以防止SSL剥离攻击。在web.config中添加：

<system.webServer> <httpProtocol> <customHeaders> <add name="Strict-Transport-Security" value="max-age=31536000; includeSubDomains; preload" /> </customHeaders> </httpProtocol> </system.webServer>

5.3 优化SSL/TLS配置

通过修改注册表可以禁用不安全的协议和加密套件：

# 禁用SSL 3.0和TLS 1.0 New-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\SSL 3.0\Server" -Name Enabled -Value 0 -PropertyType DWORD New-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.0\Server" -Name Enabled -Value 0 -PropertyType DWORD # 启用TLS 1.2和1.3 New-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Server" -Name Enabled -Value 1 -PropertyType DWORD New-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.3\Server" -Name Enabled -Value 1 -PropertyType DWORD

修改后需要重启服务器生效。建议先用IISCrypto工具测试不同配置，找到安全性和兼容性的最佳平衡点。